Kontrola síly hesla

Jak zkontrolovat heslo

1. Zadej nebo vlož heslo do pole Heslo k testu. Pole skrývá, co píšeš; tlačítkem Zobrazit ho ukážeš a Skrýt ho znovu zakryje.
2. Výsledek se objevuje při psaní. Pruh Síla jde od 0 (Velmi slabé) do 4 (Velmi silné).
3. Přečti si tabulku Odhadovaná doba prolomení: uvádí jednu dobu pro každý ze čtyř scénářů útoku, od webu, který omezuje pokusy o přihlášení, po ukradenou databázi napadenou grafickými kartami.
4. Podívej se na Slabiny a tipy. Pojmenují problém, který kontrola našla (běžné heslo, vzor na klávesnici, datum, opakovaná posloupnost…), a navrhnou, jak ho opravit.

Heslo se analyzuje jen na této stránce. Nikdy se neodesílá, neukládá ani nezaznamenává a pole se při opuštění stránky vymaže. I tak je nejbezpečnějším zvykem testovat heslo, které se tomu tvému podobá, ne to skutečné.

Jak se skóre počítá

Nástroj používá zxcvbn, open-source odhadovač hesel původně vytvořený v Dropboxu (zde v udržované verzi pro TypeScript, zxcvbn-ts). Místo počítání velkých písmen a symbolů uvažuje jako lamač hesel. Rozdělí heslo na části a hledá vzory, které útočníci zkoušejí jako první:

• nejběžnější uniklá hesla, křestní jména, příjmení a časté anglické a francouzské výrazy, včetně slov pozpátku a záměn „l33t“ jako p@ssw0rd;
• vzory na klávesnici jako qwerty, azerty nebo 1qaz2wsx;
• opakované znaky (aaaa), opakované bloky (abcabc) a posloupnosti (abcd, 9876);
• data a nedávné roky.

Poté odhadne, kolik pokusů by útočník potřeboval k nalezení celého hesla; zobrazuje se jako Odhadovaný počet pokusů. Skóre se řídí tímto číslem: pod tisíc pokusů dává 0, pod milion 1, pod 100 milionů 2, pod 10 miliard 3 a cokoli víc má skóre 4.

Slovníky obsahují jen anglická a francouzská slova a běžná hesla. České výrazy tedy kontrola nepozná jako slova ze slovníku, a Slabiny a tipy se zobrazují v angličtině.

Čtyři scénáře útoku

Doby prolomení vznikají vydělením odhadovaného počtu pokusů rychlostí každého útoku:

Online útok znamená, že někdo zadává pokusy do přihlašovacího formuláře. Offline útok nastává po úniku dat, kdy útočník má kopii uložených hashů hesel a může pokusy testovat na vlastním hardwaru. Poslední řádek je nejhorší případ a je to ten, na který se dívej u hesel chránících e-mail, banku nebo správce hesel. Doby jsou průměry: útočník může mít štěstí dřív.

Odhad entropie

Odhad entropie je klasický údaj pro hrubou sílu: délka × log2(velikost sady), kde sada je součet použitých druhů znaků (26 malých písmen, 26 velkých, 10 číslic, 33 symbolů a 100 pro ostatní znaky jako diakritika nebo emoji). Qwerty123! dostane podle tohoto vzorce asi 66 bitů, a přitom zxcvbn mu dá skóre 0 (Velmi slabé), protože jde o řadu na klávesnici s běžnou příponou. Entropie dává smysl jen u hesel vybraných náhodně, například generátorem hesel; u hesel vymyšlených člověkem věř skóre a dobám prolomení.